Podatności Linux kernel

W jądrze Linux w sterowniku arm_ffa występuje błąd w obliczaniu offsetu deskryptora Endpoint Memory Access, który używa sizeof(struct ffa_mem_region) zamiast ep_mem_offset, co może prowadzić do nieprawidłowego dostępu do pamięci. Brakuje również sanity checków dla offsetów.

W jądrze Linuxa wykryto podatność use-after-free (UAF) w funkcji sk_clone() dla gniazd BPF. Przy wczesnym wyjściu z funkcji, wskaźnik do pamięci BPF gniazda rodzica pozostaje w sklonowanym gnieździe, co prowadzi do jej zwolnienia podczas usuwania klona i późniejszego użycia zwolnionej pamięci przez gniazdo rodzica.

W jądrze Linux wykryto podatność w podsystemie PPP, umożliwiającą użycie po zwolnieniu (UAF) w ścieżce odbioru pppol2tp. Problem wynika z braku okresu ochronnego RCU przed zwolnieniem wewnętrznego kanału PPP, co może prowadzić do naruszenia bezpieczeństwa pamięci. Podatność jest osiągalna przez nieuprzywilejowanego użytkownika.

W jądrze Linuxa w podsystemie net/iucv wykryto podatność polegającą na braku utrzymania referencji do gniazda znalezionego w afiucv_hs_rcv(). Po zwolnieniu blokady gniazdo może zostać zamknięte i zwolnione, zanim obsługa zdarzenia zdąży z niego skorzystać, co prowadzi do użycia zwolnionej pamięci.

W jądrze Linuxa w podsystemie SCSI wykryto problem z budzeniem wątku obsługi błędów (error handler) przy użyciu funkcji scsi_schedule_eh. Brak wymuszonej kolejności pamięci może powodować, że wątek nigdy się nie obudzi, gdy wszystkie komendy są nieaktywne lub przekroczono limit czasu.

W jądrze Linuxa w sterowniku ata: sata_dwc_460ex wykryto problem polegający na włączeniu przerwań SATA przed zarejestrowaniem obsługi przerwań. Jeśli późniejszy krok inicjalizacji się nie powiedzie, może wystąpić burza przerwań.

W jądrze Linuxa w podsystemie Bluetooth (MGMT) występuje podatność use-after-free. Operacja MGMT_OP_LOAD_CONN_PARAM przechowuje wskaźnik do wpisu hci_conn_params, który może zostać zwolniony przez kolejne żądanie, zanim zaplanowane zadanie się wykona. Poprawka polega na przechowywaniu referencji do hci_conn i ponownym sprawdzaniu parametrów przy wykonaniu zadania.

W jądrze Linuxa w podsystemie Bluetooth (hci_sync) wykryto podatność polegającą na używaniu wskaźników chronionych przez RCU poza sekcjami krytycznymi bez odpowiedniego licznika referencji, co może prowadzić do use-after-free. Poprawka rozszerza sekcje krytyczne i dodaje rcu_read_lock() w odpowiednich miejscach.

W jądrze Linuxa w podsystemie Bluetooth (mgmt) wykryto problem z blokowaniem w funkcjach unpair_device i disconnect_sync. Dereferencja wskaźników chronionych przez RCU poza sekcjami krytycznymi może prowadzić do use-after-free. Poprawka dodaje hdev->lock dla wyszukiwania hci_conn i hci_abort_conn().

W jądrze Linuxa w podsystemie Bluetooth (mgmt) wykryto podatność polegającą na braku utrzymania referencji do hci_conn w mgmt_pending_cmds. Dereferencja wskaźników chronionych przez RCU poza sekcjami krytycznymi może prowadzić do use-after-free. Poprawka dodaje odpowiednie blokady i licznik referencji.

W jądrze Linuxa w podsystemie Bluetooth (hci_sync) wykryto problem polegający na braku utrzymania blokady hdev->lock podczas wyszukiwania hci_conn_params. Bez tej blokady iteracja listy lub dostęp do parametrów nie są bezpieczne. Poprawka dodaje hdev->lock dla wyszukiwań parametrów.

W jądrze Linux w sterowniku Bluetooth hci_qca występuje podatność polegająca na użyciu zwolnionej pamięci (use-after-free) podczas obsługi nieprawidłowego rozmiaru zrzutu pamięci kontrolera. Gdy kontroler zgłasza zerowy rozmiar zrzutu, ścieżka błędu zwalnia lokalny obiekt, ale nie czyści wskaźnika w strukturze qca, co prowadzi do późniejszego dostępu do zwolnionej pamięci.

W jądrze Linux w podsystemie CAN raw występuje brak synchronizacji (race condition) przy modyfikacji pól bitowych flag w strukturze raw_sock. Operacje read-modify-write w raw_setsockopt() mogą być wykonywane współbieżnie, co prowadzi do nieprzewidywalnych zachowań.

W jądrze Linuxa wykryto podatność w mechanizmie BPF sockmap, która pozwala na wyciek pamięci. Niezwiązane (unbound) gniazda UDP są akceptowane przez sockmap, a program BPF może zwiększyć ich licznik referencji. Po późniejszym związaniu gniazda, funkcja bpf_sk_release() pomija dekrementację licznika, co prowadzi do trwałego wycieku pamięci.

W jądrze Linux wykryto podatność w sterowniku DRM/XE dotyczącą funkcji VF (Virtual Function) w kontekście operacji CCS (Compute Command Streamer). Problem polega na błędnej synchronizacji dołączania i odłączania buforów poleceń (BB) CCS podczas przenoszenia obiektów BO (Buffer Objects) między pamięcią systemową a TT (Translation Table). Może to prowadzić do wyścigu (race condition) z migracją VF, co skutkuje nieprawidłowym zapisem lub odczytem metadanych CCS.

W jądrze Linux w sterowniku DRM xe (drm/xe/guc) występuje podatność polegająca na użyciu zwolnionej pamięci (use-after-free) w harmonogramie (scheduler). Wskaźnik do nazwy kolejki (q->name) jest zwalniany wraz z kolejką, podczas gdy harmonogram może nadal go używać.

W jądrze Linux wykryto podatność w sterowniku DRM/XE dla procesorów graficznych Intel, dotyczącą kolejki wykonywania GuC. Usuwanie kolejki może działać asynchronicznie, co grozi zakleszczeniem podczas sprzątania zasobów. Poprawka polega na utrzymywaniu referencji do urządzenia przez cały czas życia kolejki oraz przeniesieniu pracy niszczącej do dedykowanej kolejki pracy.

W jądrze Linux w sterowniku accel/amdxdna występuje podatność polegająca na użyciu zwolnionej pamięci (use-after-free) struktury mm_struct w harmonogramie zadań. Wskaźnik do mm_struct jest przechowywany bez trzymania referencji, co może prowadzić do dostępu do zwolnionej pamięci podczas wykonywania zadania.

W jądrze Linuxa wykryto wyciek referencji do gniazda TIME_WAIT podczas niepowodzenia polityki PSP w ścieżkach odbioru IPv4 i IPv6. Brak zwolnienia referencji prowadzi do wycieku pamięci struktur tcp_tw_bucket.

W jądrze Linux wykryto podatność prowadzącą do dereferencji wskaźnika NULL w funkcji dpll_msg_add_pin_ref_sync(). Problem występuje, gdy pin współdzielony między wieloma urządzeniami dpll jest wyrejestrowywany, a partner ref_sync został już usunięty z jednego urządzenia, ale nadal jest zarejestrowany w innym. Może to spowodować awarię systemu (kernel panic) podczas usuwania modułu sterownika.

W jądrze Linux wykryto podatność use-after-free w module net/sched/act_tunnel_key. Funkcja tunnel_key_release_params() zwalnia metadata_dst starych parametrów synchronicznie przez dst_release(), podczas gdy struktura params jest zwalniana asynchronicznie przez kfree_rcu(). Konkurencyjny odczyt w tunnel_key_act() może nadal używać wskaźnika do starych parametrów i wywołać dst_clone() po tym, jak dst_release() oznaczy dst jako RCUREF_DEAD, co prowadzi do dostępu do zwolnionej pamięci.

W jądrze Linuxa w strukturze sctp_cookie błędnie obliczono rozmiar tablicy auth_hmacs, co powoduje kopiowanie poza jej koniec podczas inicjalizacji asocjacji SCTP. Może to prowadzić do uszkodzenia sąsiedniego pola auth_chunks, akceptacji nieprawidłowego identyfikatora HMAC i odczytu poza zakresem w sctp_auth_get_hmac().

W jądrze Linuxa w sterowniku bnxt_en wykryto problem z częściowo zainicjalizowanymi urządzeniami pomocniczymi. Funkcja bnxt_aux_devices_init() wywołuje auxiliary_device_init() przed inicjalizacją wszystkich pól używanych przez funkcję zwalniającą, co może prowadzić do dereferencji lub wyczyszczenia nieprawidłowego stanu podczas obsługi błędów.

W jądrze Linuxa w podsystemie USB stwierdzono brak synchronizacji w funkcji bos_descriptors_read(), która uzyskuje dostęp do udev->bos. Pole to może być jednocześnie zwalniane w funkcji usb_reset_and_verify_device(), co stwarza ryzyko wyścigu.

W jądrze Linux w sterowniku at76c50x-usb występuje podatność na niedomiar długości w funkcji at76_guess_freq(). Jeśli ramka jest krótsza niż oczekiwany offset, obliczona długość elementów IE zawija się, co prowadzi do odczytu poza zakresem podczas skanowania sieci.

W jądrze Linuxa wykryto podatność w podsystemie USB Type-C, gdzie funkcja connector_unbind() nie wywołuje symetrycznie typec_deattach(), co prowadzi do wyścigu podczas odłączania stacji dokującej Thunderbolt. Skutkuje to pozostawieniem wiszących wskaźników w strukturze typec_port, co może prowadzić do użycia po zwolnieniu pamięci (use-after-free) i uszkodzenia stanu partnera UCSI.

W jądrze Linux w sterowniku usb: musb: omap2430 funkcja omap2430_probe() wywołuje of_node_put() na pożyczonym wskaźniku of_node, co prowadzi do niezbalansowanego licznika referencji dla węzła urządzenia platformowego.

W jądrze Linux w sterowniku USB gadget dummy_hcd występuje podatność polegająca na ponownym użyciu współdzielonego żądania USB (fifo_req) podczas zwracania żądania. Atakujący może wykorzystać wyścig (race condition) między wątkami, co prowadzi do nadpisania wskaźnika funkcji wywołania zwrotnego i w efekcie do błędu strony lub ogólnej ochrony (GPF) w jądrze.

W jądrze Linux w sterowniku usb: gadget: printer funkcja printer_read() może wpaść w nieskończoną pętlę, gdy copy_to_user() nie skopiuje żadnych danych, a zmienna długości pozostaje niezmieniona.

W jądrze Linux w sterowniku usb: gadget: f_ncm funkcja ncm_unwrap_ntb() nie weryfikuje, czy datagram mieści się w zadeklarowanej długości bloku, co pozwala złośliwemu hostowi USB na odczyt poza zakresem pamięci jądra.

W jądrze Linux wykryto podatność w sterowniku USB gadget f_tcm, polegającą na użyciu pamięci po zwolnieniu (use-after-free) w funkcji tcm_delayed_set_alt. Opóźnione zadanie (work item) związane z konfiguracją endpointów może wykonać się po rozłączeniu lub usunięciu funkcji, co prowadzi do naruszenia bezpieczeństwa pamięci.

W jądrze Linux w sterowniku usb: gadget: uvc funkcja uvc_send_response() nie ogranicza długości odpowiedzi do rozmiaru bufora źródłowego, co może prowadzić do odczytu poza zakresem pamięci.

W jądrze Linux w sterowniku USB: serial: io_edgeport funkcja edge_interrupt_callback() dodaje 16-bitową wartość kredytów transmisji do txCredits bez sprawdzania maksymalnej wartości, co może prowadzić do zapisu poza zakresem w buforze pierścieniowym.

W jądrze Linux w sterowniku drm/amd/display występuje zakleszczenie (deadlock) podczas wstrzymywania systemu, gdy funkcja amdgpu_dm_ism_disable() jest wywoływana pod dc_lock i czeka na zakończenie opóźnionej pracy, która również wymaga dc_lock.

W jądrze Linux w sterowniku ath9k_hif_usb występuje podatność use-after-free. Po ponownym załadowaniu firmware przez request_firmware_nowait(), funkcja ath9k_hif_request_firmware() nadal odwołuje się do hif_dev, co może prowadzić do odczytu zwolnionej pamięci, gdy urządzenie zostanie odłączone w tym samym czasie.

W jądrze Linux w sterowniku wifi ath11k występuje podatność na dereferencję wskaźnika NULL. Flaga ATH11K_FLAG_REGISTERED jest ustawiana bezwarunkowo nawet gdy obsługa zdarzenia FW_READY nie powiedzie się, co prowadzi do niespójnego stanu sterownika. Podczas późniejszego restartu (SSR) sterownik odwołuje się do niezainicjalizowanych elementów srng, powodując dereferencję wskaźnika NULL.

W sterowniku hwmon corsair-psu w jądrze Linux wykryto podatność prowadzącą do użycia po zwolnieniu (use-after-free). Problem wynika z wywołania hid_hw_stop() bez wcześniejszego zatrzymania operacji wejścia/wyjścia urządzenia, co powoduje wyścig między obsługą raportów HID a procedurą zakończenia działania sterownika. Naprawa polega na wywołaniu hid_device_io_stop() przed hid_hw_stop().

W jądrze Linux w sterowniku hwmon corsair-cpro występuje podatność typu use-after-free (UAF). Wywołanie hid_hw_stop() nie zatrzymuje operacji wejścia/wyjścia urządzenia, co prowadzi do wyścigu między hid_input_report() a miejscem po hid_device_io_start() w funkcji probe. Jeśli operacja probe zakończy się niepowodzeniem po rozpoczęciu operacji wejścia/wyjścia, może dojść do UAF.

W jądrze Linux w sterowniku hwmon nzxt-smart2 występuje podatność typu use-after-free (UAF). Wywołanie hid_hw_stop() nie zatrzymuje operacji wejścia/wyjścia urządzenia, co prowadzi do wyścigu między hid_input_report() a miejscem po hid_device_io_start() w funkcji probe. Jeśli operacja probe zakończy się niepowodzeniem po rozpoczęciu operacji wejścia/wyjścia, może dojść do UAF.

W jądrze Linux w sterowniku hwmon nzxt-kraken3 występuje podatność typu use-after-free (UAF). Wywołanie hid_hw_stop() nie zatrzymuje operacji wejścia/wyjścia urządzenia, co prowadzi do wyścigu między hid_input_report() a miejscem po hid_device_io_start() w funkcji probe. Jeśli operacja probe zakończy się niepowodzeniem po rozpoczęciu operacji wejścia/wyjścia, może dojść do UAF.

W jądrze Linux w podsystemie watchdog (pretimeout) występuje podatność typu use-after-free (UAF). Podczas wyrejestrowywania gubernatora watchdog, jeśli gubernator jest ustawiony jako default_gov, wskaźnik default_gov nie jest czyszczony, co prowadzi do pozostawienia wiszącego wskaźnika. Nowe urządzenia watchdog mogą odziedziczyć ten wiszący wskaźnik, a istniejące urządzenia mogą zostać przepisane na ten sam wiszący wskaźnik, co skutkuje UAF.

W jądrze Linux w sterowniku watchdog airoha występuje podatność na dzielenie przez zero. Funkcja clk_get_rate() może zwrócić 0, gdy dostawca zegara nie jest poprawnie skonfigurowany lub zegar jest niezarządzany. Sterownik używa wdt_freq jako dzielnika w airoha_wdt_probe() i airoha_wdt_get_timeleft(), co prowadzi do dzielenia przez zero.

W jądrze Linux w sterowniku wifi ath11k występuje podatność na niedomiar bufora (buffer underflow) w funkcji ath11k_hal_rx_msdu_list_get(). Gdy pierwszy wpis w msdu_details ma zerowy adres bufora, kod uzyskuje dostęp do msdu_details[i - 1] przy i == 0, co powoduje dostęp poza zakres.

W jądrze Linux w sterowniku firewire net występuje podatność w składaniu fragmentowanych datagramów. Funkcja fwnet_frag_new() utrzymuje posortowaną listę otrzymanych fragmentów. Przy sprawdzaniu sąsiedztwa fragmentów, kod zakłada, że bieżący fragment zawsze ma rzeczywisty następny lub poprzedni fragment, ale na krawędzi listy może to być głowa listy, co prowadzi do błędnego scalania zakresów. W rezultacie fwnet_pd_is_complete() może nie wykryć kompletnego datagramu.

W jądrze Linux w sterowniku ath6kl występuje podatność na odczyt poza zakresem (OOB) w obsłudze zdarzeń TX complete. Pole num_msg kontrolowane przez firmware (u8, 0-255) steruje pętlą bez walidacji względem długości bufora, co pozwala na odczyt do 1020 bajtów poza buforem zdarzenia WMI.

W jądrze Linux w sterowniku ath6kl występuje podatność na odczyt poza zakresem (OOB) w obsłudze zdarzeń połączenia. Pola beacon_ie_len, assoc_req_len i assoc_resp_len kontrolowane przez firmware nie są walidowane względem długości bufora, co może prowadzić do odczytów poza zakresem podczas parsowania IE oraz do uszkodzenia stanu wmi->is_wmm_enabled.

W jądrze Linux w sterowniku carl9170 występuje podatność na odczyt poza zakresem (OOB) w funkcji carl9170_cmd_callback. Gdy firmware wyśle odpowiedź z niezgodną długością, memcpy kopiuje len - 4 bajtów, co może przekroczyć rozmiar bufora readbuf, prowadząc do odczytu poza przydzieloną pamięcią.

W jądrze Linux w sterowniku carl9170 występuje podatność na odczyt poza zakresem (OOB) w obsłudze statusu TX. Warunek sprawdzający `i > ((cmd->hdr.len / 2) + 1)` jest błędny o dwa, co pozwala na dwie dodatkowe iteracje poza prawidłowe wpisy _tx_status, gdy hdr.ext kontrolowane przez firmware przekracza hdr.len/2.

W jądrze Linux w sterowniku carl9170 występuje podatność na przepełnienie bufora w ścieżce failover w funkcji carl9170_rx_stream. Kopiowanie pełnej długości tlen z drugiego transferu USB zamiast ograniczenia do rx_failover_missing może przekroczyć rozmiar bufora failover SKB (65535 bajtów), powodując skb_over_panic.

W jądrze Linux w sterowniku ASoC tas2781 występuje podatność na odczyt poza zakresem (OOB) podczas parsowania ciągów opisowych z firmware. Parser używa strlen() bez sprawdzenia, czy terminator NUL znajduje się w buforze firmware, co przy złośliwym obrazie firmware może spowodować odczyt poza końcem bufora.